這是客戶的資訊,該資訊如何被使用應為客戶的選擇。」於此一理念下,美國聯邦通訊委員會(Federal Communication Commission,FCC)於2016年10月27日通過了寬頻客戶隱私規定(Broadband Consumer Privacy Rules),該規定要求寬頻網路服務提供者(broadband Internet Service Providers,ISPs)應保護其客戶之隱私,該新通過的隱私規範非禁止使用及分享客戶的資訊,而係給予客戶有更多的選擇去決定自身的資訊該如何被分享及使用。以下簡介規範內容:
一、規範對象:寬頻網路服務提供者及其他電信營運商,例如Comcast、Verizon、AT&T等。規範對象未包含聯邦貿易委員會(Federal Trade Commission,FTC)所管轄的隱私保護措施下的網站或其他邊緣服務商(edge service),例如Google、Facebook、Amazon等。亦未規範寬頻網路服務提供者營運的社交媒體網站或政府監管、加密,執法等問題。
二、 主要規範內容:將ISP所蒐集得使用及分享的資訊分為三類,建立客戶同意要件,分類如下。
(一)敏感性資訊須事前取得客戶肯定地選擇同意加入(opt-in),才得為使用及分享。敏感性資訊包含精確的地理位置、金融資訊、健康資訊、孩童資訊、社會安全碼、網站瀏覽紀錄、app使用紀錄及通訊內容。
(二)非敏感性資訊,例如電子郵件地址或服務層資訊,得使用及分享,惟當客戶選擇退出(opt-out)則不得使用及分享。
(三)同意要件之例外。除了在建立客戶與ISP關係外,針對特定目的將會被推定為已取得客戶同意,包含寬頻服務之提供或針對服
三、 其他重要規範內容:清楚告知客戶收集的資訊、將如何使用、向誰分享;實施合理的資料安全準則;保密性違反之通知。
然而針對FCC是否具有相關管制權限,質疑聲浪仍存於本次規範之通過。亦有認為該規範與FTC的管制同時運行將形成疊床架屋,造成社會大眾之混淆。並且該規範未能真實反映網路生態,未將網路公司或社交網站公司列入管制對象,無法真正保護客戶隱私。
據2024年1月5日IAM報導(下稱IAM報導)依據Deloitte 2023年的研究報告(Deloitte IP 360 Survey)指出大部分的企業雖然有認知到營業秘密對於企業而言承載重大的價值,但仍通常缺乏管理的意識和具體措施,然而對於企業來說營業秘密管理卻是具有重要性的。 IAM報導綜整了一篇Deloitte 2023年的研究報告(Deloitte IP 360 Survey,下稱系爭報告),其針對橫跨15個國家、5大產業共57間公司的智慧財產管理成熟度進行調查分析,系爭報告指出大部分的企業針對專利、商標等註冊取得之智慧財產權多擁有成熟且全面的管理措施,但針對其他難以發現的無形資產(“hard-to-find” intangibles),如營業秘密、資料、know-how等,通常缺乏管理的意識和措施,例如:大約有29%的受訪者表示企業「未積極地捕獲」(原文為actively capture,大意指識別、管理和保護)營業秘密;約14%的受訪者表示企業未建立標準化流程或方針以識別營業秘密。並且,針對營業秘密的具體管理作法,IAM報導特別著重以下三點: 1.主動監測:僅僅只有25%的受訪者表示,企業有主動監測營業秘密之產出,並具有相關管制措施。 2.教育訓練:有42%的受訪者表示未受過營業秘密意識的訓練(trade secret awareness training)。IAM報導特別指出,若員工對於營業秘密的範圍以及重要性沒有概念,則營業秘密管理機制的建立也會失去其意義。 3.離職面談:即使有相當大比例的營業秘密訴訟源於離職員工,但在既有離職面談中是否有納入營業秘密意識訓練的調查上,僅有不到一半(47%)的受訪企業表示有做,24%的企業表示沒有做,還有29%的企業不確定是否有做。 綜上所述,系爭報告提出,許多企業在營業秘密的管理上仍有很大的進步空間,並提醒,在訴訟上只有營業秘密擁有者採取「合理保密措施」(包括建立標準化機制)來保護營業秘密時,在法律上才能獲得更大的保護以及獲得損害賠償的機會。 針對營業秘密管理制度建置,企業可參考資策會科法所發布之「營業秘密保護管理規範」,該規範從識別營業秘密開始,到營業秘密使用管理、員工管理(包含人員進用離職時應採取措施、教育訓練)等均有相關要求,可協助企業透過PDCA循環建置系統性營業秘密規範,補足缺乏的營業秘密管理意識和具體保密措施。 本文同步刊登於TIPS網(https://www.tips.org.tw)
美國奧克拉荷馬州修正《個資事故通報法》,擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》,擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定,散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中,且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制,而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項,以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案(Senate Bill 626)[1],修正《個資事故通報法》(Security Breach Notification Act)[2],其目的係為補充現行治理規範之不足,修正重點涵蓋:擴充法定用詞之定義,針對「個人資料」(Personal Information)與「適當防護措施」(Reasonable Safeguards)等條文予以補充與增列;強化個資事故(Breach of the security of a system)之通報機制與設立豁免條款,並釐清與其他法規間之適用關係;以及修訂違法情事之民事裁罰。此外,本次修法亦明定,若機構或個人已採取適當防護措施,得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效,並適用於自該日起所發現、判定或通報之個資事故,相關單位應即早進行法遵準備,以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向,簡要說明如下: 一、擴充法定用詞之定義 (一)個人資料 於現行法規對個人資料之定義下,再增加新資料類別: 1.與驗證碼、存取碼或密碼結合使用時,可用以登入特定個人金融帳戶之專屬電子識別碼(Electronic Identifier)或路由代碼(Routing Code); 2.用以辨識特定自然人之獨特生物特徵資料,例如指紋、視網膜或虹膜影像,或其他具體實體或數位形式之生物辨識資料。 (二)適當防護措施 適當防護措施係指,為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於:進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練,及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後,應於60日內向州檢察總長(Attorney General)提交書面通報,載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民,或事故發生於徵信機構且影響人數未達1,000人,則可免除向檢察總長通報之義務。 此外,本法明確規範,若特定機構已依據其他法律,如《奧克拉荷馬州醫療資安保護法》(Oklahoma Hospital Cybersecurity Protection Act of 2023)或聯邦《健康保險可攜及責任法》(Health Insurance Portability and Accountability Act of 1996)等履行相關通報義務,則視為已符合本法之要求。 三、民事裁罰 本法明定,民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定,以確保裁量之比例原則。裁量情形說明如下: 1.若機構已採行適當防護措施且依法進行事故通報者,得免除民事責任; 2.若未採取適當防護措施,惟仍依規定完成事故通報者,則須負擔實際損害賠償責任並處以最高75,000美元罰鍰; 3.未落實適當防護措施與事故通報法定義務者,最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為,其修正重點包含:擴充個人資料之定義並明定適當防護措施之內容,俾利降低企業法遵成本及法律適用之不確定性;強化事故通報機制並設置合理豁免條款,以確保資訊透明度;於罰則規範中明定民事罰鍰之裁量,應審酌事故規模及是否履行事故通報義務等因素,以符合比例原則。 有鑑於本法修正後所課予之法定義務,建議企業應採行下列因應措施:(1)全面盤點所保有之個人資料,尤應注意新增納管之電子識別碼及生物特徵等資料;(2)檢視並強化現有防護機制,確保符合適當防護措施之要求;(3)建立標準化通報應變程序;(4)強化教育訓練。此外,企業宜定期檢視法規動態,以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
美國廣告網路平台服務提供業者針對抑制網路侵權發佈作業準則Google、Microsoft、Yahoo、AOL、24/7 Media、Adtegrity、Condé Nast、SpotXchange數個以美國為主要營運基地的廣告網路平台服務提供者於7月中針對抑制網路侵權聯合發佈一套最佳作業準則,規劃透過減少涉嫌侵權、盜版網站的廣告收益分配,達到抑制網路侵權的效果。 在這個自發性參與的準則中,廣告網路平台服務業者將維持並公告其遏阻與避免販售盜版物品、侵害著作權網站的政策,根據該作業準則,廣告網路平台業者將接受並處理來自權利人有關有疑慮的網站通知、提供合適的通知內容參考指引、指定負責收受侵權通知的窗口,並針對相關控訴採取適當的調查,相關業者將確保其內部處理程序能落實此一作業準則要求。 針對此一發展,著作權產業團體如美國唱片業協會、美國電影協會對此一準則皆大表贊成與歡迎,而公益團體Public Knowledge亦讚許此一準則相當明智,同時也呼籲內容產業團體可以發展其保護網路使用者與媒介的相關作業準則。
論複數決標之廠商競爭關係論複數決標之廠商競爭關係 資訊工業策進會科技法律研究所 108年5月3日 壹、事件摘要 甲機關為共同供應契約採購的訂約機關,負責辦理某財物共同供應契約採購招標事宜。考量廠商供貨能力不同,甲機關將供貨區域區分「全國各公部門」及「特定縣市公部門」,由廠商依其供貨能力擇一型式投標,並在同一採購案之招標程序分為兩個期程辦理。該採購案投標須知重點說明如下: 一、第一期程: 本期程先由供貨予「全國各公部門」的廠商投標,廠商如選擇投標本期程,則不得參與第二期程。由於本採購案採最低標及複數決標,由最低價廠商得標,其餘廠商可選擇是否跟進該最低標併列得標,惟本期程可跟進之廠商有家數限制,依廠商報價由低到高排列,取前80%。 二、第二期程: 本期程待第一期程決標後,再由有意願供貨予「特定縣市公部門」的廠商參與,廠商至多可選擇五個縣市供貨。第一期程之決標品項及該品項的決標金額,為本期程的採購品項及決標金額,故參與本期程之廠商無庸提出報價,選擇欲跟進併列得標之品項即可。廠商如選擇參與本期程,則不得參與第一期程。本期程可跟進之廠商無家數限制。 A廠商及B廠商分別參與本採購案第一期程、第二期程之投標,甲機關審查彼等遞交之投標文件時,發現其上所載聯絡人、傳真、電話號碼相同,投標區域與品項亦有重複,似為同一廠商備標,遂請兩家廠商說明。A廠商及B廠商均表示,兩家廠商為多年合作夥伴,B廠商因廠址遷移致人手不足,而委請A廠商作為聯繫窗口,故記載相同的聯絡資訊。甲機關認為A、B廠商之說明,無法澄清為同一廠商備標疑慮,爰依政府採購法(以下簡稱採購法)第31條第2項第8款、第50條第1項第5款及本案投標須知規定,不決標予A、B廠商,且不予發還押標金。 A、B廠商不服,提起異議及申訴。是本案應探究者為,於同一採購案參與不同期程投標的相異廠商,彼等投標文件所載之聯絡人、傳真、電話號碼相同,甲機關是否可認定屬採購法第50條第1項第5款所訂「不同投標廠商間之投標文件內容有重大異常關聯者」?又,因本案係同一採購案區分兩期程投標,且投標須知規定(1)廠商僅得選擇一個期程投標;(2)第二期程的決標金額係依第一期程決標之結果;(3)未限制第二期程可跟進之廠商家數,則本案廠商無法釐清非屬同一廠商備標時,甲機關之處理是否會有不同? 貳、重點說明 行政院公共工程委員會(以下簡稱工程會)民國91年11月27日工程企字第09100516820號令[1]曾就前述採購法第50條第1項第5款所稱「重大異常關聯」,說明「機關辦理採購有下列情形之一者,得依政府採購法第五十條第一項第五款『不同投標廠商間之投標文件內容有重大異常關聯者』處理:……四、廠商地址、電話號碼、傳真機號碼、聯絡人或電子郵件網址相同者。五、其他顯係同一人或同一廠商所為之情形者。」故不同投標廠商間之投標文件倘有聯絡資訊相同,顯係同一人或同一廠商所為之情形,即構成投標文件內容有重大異常關聯,屬影響採購公正之違反法令行為。 本案A、B廠商之投標文件有聯絡人、傳真、電話號碼記載相同情形,且該等廠商未能合理說明其緣由,似已符合「重大異常關聯」要件。然採購申訴審議委員會指出本案無採購法第50條第1項第5款規定之適用,其理由為: 一、投標廠商間未有競爭情形存在時,無適用採購法第50條第1項第5款之餘。 採購法第50條第1項第5款規定「投標廠商有下列情形之一,經機關於開標前發現者,其所投之標應不予開標;於開標後發現者,應不決標予該廠商:……五、不同投標廠商間之投標文件內容有重大異常關聯者。」該條款係91年2月6日增訂,依立法院交通委員會審查會通過送院會二讀之條文對照表說明欄記載「第1項增訂第5款,以防止假性競爭行為,例如不同廠商間之投標文件內容筆跡相同、押標金由同一人繳納、掛號信連號、地址相同、電話號碼相同之情形……」,復參工程會96年6月25日96工程企傳字第F961354號函(以下簡稱工程會96年函)揭示「關於政府採購法50條第1項第5款規定,係為防止假性競爭之情形。依來函所述個案採分項決標,且地址、傳真、電話相同之二家廠商各投不同項目,尚非彼此互相競爭,自無上開條款之適用」[2],是採購申訴審議委員會認為,採購法第50條第1項第5款立法目的係為防止假性競爭之行為,倘投標廠商間無須有競爭情形存在時,即無條款之適用。 二、本案第一期程與第二期程之廠商間,以及第二期程之廠商間無須競爭,故無採購法第50條第1項第5款適用。 採購申訴審議委員會指出,本採購案採二期程招標方式辦理,投標須知規定:「第二期程之招標於第一期程採購決標後再公告」、「曾參加第一期程投標之廠商,不論是否合格或得標或併列得標,均不得參加第二期程之投標」、「第一期程決標品項即為第二期程之採購項目。第一期程採購各項之決標金額即為第二期程採購之決標金額,廠商僅得就招標機關……公告第一期程決標金額及對應之品項中選擇適合者投標(跟進),不得報列公告之決標金額以外之價格及非屬第一期程所公告之決標品項」、「第一期程決標項目之決標價格及合格品項,俟決標後本局將另行於第二期程之招標文件公告」、「本案競標機制,……以投標廠商最低價者得標並採複數決標,得跟進最低價併列得標之廠商家數依第一期程全區廠商依報價由低至高排列取前80%為上限,第二期程單區廠商不設上限」。 是以,A廠商係參加本案第一期程投標之廠商,不論其是否合格或得標或併列最低標得標,均不得參加第二期程之投標,而參與第二期程之B廠商,係按甲機關公告之第一期程決標品項及金額跟進,且第二期程得標廠商之家數並無限制,故參與第二期程與參與第一期程之廠商彼此間,以及參與第二期程之廠商彼此間,均無須競爭,爰本案無採購法第50條第1項第5款之適用。 參、事件評析 就本案申訴審議委員會提出之理由及所為之結論,筆者以為有下述二點得再為細部討論: 一、本案第二期程雖可跟進最低標併列得標廠商之家數未設上限,惟廠商於履約階段與相同供貨區域之其他得標廠商仍具有競爭關係,自有適用採購法第50條第1項第5款規定必要。 查,採購申訴審議委員會以採購法第50條第1項第5款立法理由,以及工程會96年函內容,認為廠商間有競爭情形始得適用該條款,此見解固屬正確,然採購申訴審議委員會認為B廠商不適用採購法第50條第1項第5款規定,係因第二期程之廠商彼此間無須競爭,實有討論空間。蓋本案爭議應為參與不同期程之廠商間,如彼等投標文件有聯絡資訊記載相同情形,甲機關得否以採購法第50條為處理。故採購申訴審議委員會就本案B廠商不適用上開法條所提理由,似未解決本案爭執之點。 次查,採購申訴審議委員會以採購法第50條第1項第5款立法理由,以及工程會96年函文,似認為僅在投標階段始禁止廠商彼此間假性競爭,而本案投標須知既然未限制第二期程之得標廠商家數,第二期程之廠商彼此間自無競爭問題。惟本案第二期程之廠商間,是否確無競爭關係,以及是否僅需於投標階段討論競爭關係,筆者均認有待商榷。 觀諸採購申訴審議委員會援引之採購法第50條第1項第5款立法理由及工程會96年函文,並未排除履約階段之適用。甚且,由政府採購法第1條規定「為建立政府採購制度,依公平、公開之採購程序,提升採購效率與功能,確保採購品質,爰制定本法」,以及採購法施行細則第33條第1項前段規定「同一投標廠商就同一採購之投標,以一標為限」可知,政府採購各程序均應維持公平、公正之秩序,故無論於投標、開標、決標乃至履約階段,自應防止廠商間有假性競爭可能,廠商不得利用人頭在同一採購案分別投標,以維護各個投標廠商及得標廠商間之平等,始為恰當。 經查,因本案第二期程可跟進最低標併列得標廠商之家數未設上限,當同一採購項目之得標廠商愈多,各廠商於該項目獲得訂單之機會將被稀釋。則某一廠商為了使其有更多適用機關之訂單,而利用多數人頭參與第二期程投標,且均跟進成為得標廠商,自難謂未牴觸政府採購要求之公平及公正。而此競爭關係存在於履約階段,如將之排除於採購法第50條第1項第5款之適用範圍,即可能成為法規漏洞而導致廠商有投機行為,自非採購法所允許。 準此,尚不得以本案可跟進最低標併列得標廠商之家數未設上限,即可逕認第二期程投標廠商間無須競爭,蓋本案第二期程廠商之競爭關係存在於履約階段,為確保採購程序公平、公正秩序,本案第二期程仍應適用採購法第50條第1項第5款規定。 二、參與本案第一期程及第二期程投標廠商間有競爭關係,適用採購法第50條第1項第5款規定。 本案雖區分二種投標型式,然均屬同一採購案;無論是第一期程之「全國各公部門」或第二期程之「特定縣市公部門」,皆允許有二家以上之得標廠商;參與第一期程「全國各公部門」之得標廠商可供貨至全國各縣市,自會與第二期程「特定縣市公部門」之供貨區域重疊,是若第一期程之廠商與第二期程之廠商於本案之投標品項重複時,於彼此相同供貨區域即屬相互競爭關係。 再者,本案針對第一期程「全國各公部門」設有跟進廠商家數上限,復規定參與第一期程投標之廠商不得參與第二期程,是參與第一期程之廠商如為避免無法跟進,或為增加取得適用機關訂單之機會,自有可能與第二期程廠商透過共謀投標文件而營造假性競爭之可能,確保其能進入本採購案。 準此,本案第一期程之A廠商與第二期程之B廠商因供貨區域及投標品項有重複情形,故A、B廠商於履約階段具有競爭關係,倘彼等無正當理由釐清投標文件何以所載聯絡人、傳真、電話號碼相同,投標區域均相同,甲機關自得依採購法第50條第1項第5款規定處理。末查,前述採購法施行細則第33條第1項前段規定同一投標廠商就同一採購以投一標為限,依此法理,自須禁止參與第一期程廠商以人頭方式再參與第二期程投標,以迂迴手法規避上揭規定而於同一採購案投標二次,併此敘明。 [1] 〈行政院公共工程委員會令 工程企字第○九一○○五一六八二○號〉,政府採購法規解釋函令及相關函文,http://plan3.pcc.gov.tw/gplet/mixac.asp?num=1673(最後瀏覽日:2019/04/11)。 [2] 〈行政院公共工程委員會令 96工程企傳字第F961354號〉,政府採購法規解釋函令及相關函文,http://plan3.pcc.gov.tw/gplet/mixac.asp?num=2516(最後瀏覽日:2019/04/11)。